eIDAS Artikel 42: so prüfen Sie, ob ein Zeitstempel wirklich qualifiziert ist

Die kurze Antwort

Ein Zeitstempel ist nur dann qualifiziert, wenn er die Anforderungen von Artikel 42 der eIDAS-Verordnung erfüllt und von einem Vertrauensdiensteanbieter ausgestellt wird, der für Zeitstempeldienste den Qualifikationsstatus hat. Nur dann gilt die Vermutung nach Art. 41 Abs. 2: die Richtigkeit von Datum und Uhrzeit, die er angibt, und die Unversehrtheit der Daten, mit denen Datum und Uhrzeit verbunden sind.

Ein PDF, auf dem „qualifizierter Zeitstempel“ steht, beweist für sich genommen nichts. Entscheidend sind das Zeitstempel-Token selbst, der Status des Anbieters auf der EU-Vertrauensliste zum Zeitpunkt der Ausstellung und eine Signatur, die sich weiterhin prüfen lässt. Alle drei Punkte kann ein Gericht, ein Sachverständiger oder die Gegenseite prüfen, ohne dem Anbieter vertrauen zu müssen, der den Beweis erstellt hat.

Was Artikel 42 Abs. 1 verlangt

Art. 42 Abs. 1 nennt die Anforderungen an qualifizierte elektronische Zeitstempel. Zusammen mit der Begriffsbestimmung in Art. 3 Nr. 34 ergeben sich vier Bedingungen:

• Verknüpfung: Datum und Uhrzeit werden so mit den Daten verknüpft, dass die Möglichkeit einer unbemerkten Veränderung der Daten nach vernünftigem Ermessen ausgeschlossen ist.
• Zeitquelle: Er beruht auf einer korrekten Zeitquelle, die mit der koordinierten Weltzeit (UTC) verknüpft ist.
• Signatur: Er ist mit einer fortgeschrittenen elektronischen Signatur oder einem fortgeschrittenen elektronischen Siegel des qualifizierten Vertrauensdiensteanbieters versehen oder durch ein gleichwertiges Verfahren geschützt.
• Aussteller: Er wird von einem qualifizierten Vertrauensdiensteanbieter ausgestellt, dem für diesen Dienst der Qualifikationsstatus verliehen wurde.

Ein Zeitstempel, der eine dieser Bedingungen verfehlt, ist nicht wertlos. Nach Art. 41 Abs. 1 darf ihm die Rechtswirkung nicht allein deshalb abgesprochen werden, weil er elektronisch oder nicht qualifiziert ist, das Gericht würdigt ihn aber frei, ohne Vermutung. Dieser Unterschied zählt, sobald das Datum einer Webseite, eines Vertrags oder eines Posts streitig ist.

Was eIDAS 2 geändert hat: Art. 42 Abs. 1a und VO 2025/1929

Die Verordnung (EU) 2024/1183, bekannt als eIDAS 2, hat Art. 42 geändert. Sie hat eine Konformitätsvermutung eingefügt (Art. 42 Abs. 1a): Erfüllt ein Zeitstempeldienst die von der Kommission festgelegten Referenznormen, wird vermutet, dass die Anforderungen von Art. 42 Abs. 1 erfüllt sind. Art. 42 Abs. 2 verpflichtet die Kommission, diese Normen durch Durchführungsrechtsakte festzulegen.

Das hat die Kommission mit der Durchführungsverordnung (EU) 2025/1929 vom 29. September 2025 getan, in Kraft seit dem 20. Oktober 2025. Aus ihren Erwägungsgründen ergibt sich, dass sich die Vermutung an die Aufsichtsstellen richtet: Ein Anbieter, der die aufgeführten Normen einhält, soll bei der Verleihung oder Bestätigung des Qualifikationsstatus als konform gelten. Für alle, die sich auf Zeitstempel verlassen, bedeutet das eine veröffentlichte technische Grundlage dafür, was ein qualifizierter Zeitstempeldienst leisten muss.

Die technischen Normen hinter einem qualifizierten Zeitstempel

Der Anhang der Durchführungsverordnung 2025/1929 stützt sich auf Dokumente, die Ihnen in Anbieter-Policies und Prüfberichten begegnen:

• ETSI EN 319 421 V1.3.1: Richtlinien- und Sicherheitsanforderungen an Anbieter, die Zeitstempel ausstellen, einschließlich Schutz der Signaturschlüssel, Genauigkeit der Uhr und regelmäßiger Sicherheitstests.
• ETSI EN 319 422 V1.1.1: Zeitstempelprotokoll und Token-Profil. Ein als qualifizierter elektronischer Zeitstempel ausgewiesenes Token muss eine qcStatements-Erweiterung mit der Angabe esi4-qtstStatement-1 enthalten.
• RFC 3161: das Internet-Zeitstempelprotokoll, auf dem das Token-Format beruht.

So prüfen Sie einen Zeitstempel selbst: sechs Schritte

Sie müssen kein Kryptograf sein. Diese Prüfungen dauern mit kostenlosen Werkzeugen und dem Beweispaket selbst nur Minuten:

• Token anfordern. Verlangen Sie das Zeitstempel-Token nach RFC 3161 (oft eine .tsr- oder .tst-Datei) und die genauen Daten oder den Hash, den es abdeckt, nicht nur einen Bericht, der es erwähnt.
• Token lesen. Kostenlose Werkzeuge wie OpenSSL (openssl ts -reply -text) zeigen die ausstellende Zeitstempeleinheit, die Zeit, die Policy und den Hash der gestempelten Daten.
• Hash abgleichen. Berechnen Sie den SHA-256 des Beweises oder des Manifests, das das Token bindet, und vergleichen Sie ihn mit dem Hash im Token. Ein einziges geändertes Byte zerstört die Übereinstimmung.
• Anbieter auf der EU-Vertrauensliste prüfen. Suchen Sie den Anbieter und prüfen Sie einen qualifizierten Zeitstempeldienst (Diensttyp QTST) mit dem Status granted zu dem im Token angegebenen Zeitpunkt.
• Signaturkette prüfen. Das Signaturzertifikat des Tokens muss zu dem Zertifikat führen, das die Vertrauensliste für diesen qualifizierten Dienst verzeichnet.
• Qualifizierte Angabe suchen. Nach EN 319 422 trägt ein als qualifiziert ausgewiesenes Token esi4-qtstStatement-1; fehlt sie, fragen Sie nach, bevor Sie sich auf die Vermutung verlassen.

Warnsignale: wenn ein Zeitstempel nicht hält, was er verspricht

• Sie erhalten nur ein PDF oder einen Screenshot, der einen Zeitstempel erwähnt, aber kein prüfbares Token.
• Der Anbieter steht nicht auf der EU-Vertrauensliste, oder sein Zeitstempeldienst hatte am maßgeblichen Tag nicht den Status granted.
• Die Zeit stammt aus der eigenen Serveruhr des Anbieters oder allein aus einer Blockchain. Eine Blockchain-Verankerung kann ein nützlicher zusätzlicher Beweis sein, ein qualifizierter elektronischer Zeitstempel ist sie nicht.
• Die Prüfung funktioniert nur auf der Website des Anbieters, offline ist sie nicht möglich.
• Der Hash im Token passt zu keiner Datei im Paket, oder niemand kann Ihnen sagen, was genau gestempelt wurde.

Was ein qualifizierter Zeitstempel nicht beweist

Art. 41 Abs. 2 vermutet zweierlei: dass Datum und Uhrzeit korrekt sind und dass sich die gestempelten Daten seitdem nicht verändert haben. Er sagt nicht, dass der Inhalt wahr ist, wer ihn erstellt hat oder dass eine Web-Sicherung alles zeigt, was ein Besucher gesehen hat. Das sind Fragen der Beweiserhebung, deshalb kommt es weiterhin auf die Erfassungsmethode, ihre Dokumentation und die Beweiskette an.

In der Praxis schließt ein qualifizierter Zeitstempel eine Angriffslinie, nämlich dass der Beweis später verändert worden sein könnte, und der Streit verlagert sich auf den Inhalt selbst. Genau dort soll ein Streit über Online-Beweise stattfinden.

Wo GetProofAnchor ins Spiel kommt

In allen kostenpflichtigen GetProofAnchor-Tarifen wird jeder Beweis per SHA-256 in einen qualifizierten elektronischen Zeitstempel (RFC 3161) von SK ID Solutions eingebunden, einem qualifizierten Vertrauensdiensteanbieter der EU. Die sechs Prüfungen oben können Sie an unseren eigenen Beweispaketen durchführen:

• Web-App: Erfassen Sie eine Seite per URL oder aus Ihrem Browser und erhalten Sie ein Evidence ZIP mit dem Zeitstempel-Token, einem Abbild der EU-Vertrauensliste und einem SHA-256-Manifest aller Dateien. Ab 9 € zzgl. USt. für 3 Beweise (10,89 € inkl. 21 % tschechischer USt.), Monatstarife ab 19 € zzgl. USt.
• Forensic Browser: eine Windows-App für mehrseitige und eingeloggte Sitzungen, die ein PDF mit eingebettetem qualifiziertem Zeitstempel (PAdES) erzeugen kann, das in Adobe Acrobat Reader validiert. Jahreslizenzen ab 290 € zzgl. USt.
• Assisted Capture: Wir erfassen die URLs für Sie, ab 49 € zzgl. USt. pro URL innerhalb von 90 Minuten, im Rush-Tarif innerhalb von 60 Minuten.

Das quelloffene gpa-verify prüft unsere Pakete offline, einschließlich der Zeitstempelkette, sodass weder das Gericht noch die Gegenseite uns beim Wort nehmen muss.

Häufige Fragen

Quellen

• Verordnung (EU) Nr. 910/2014 (eIDAS), Artikel 3, 41 und 42
• Verordnung (EU) 2024/1183 zur Änderung von eIDAS (eIDAS 2)
• Durchführungsverordnung (EU) 2025/1929 der Kommission zu qualifizierten elektronischen Zeitstempeln
• Browser der EU-Vertrauenslisten (Europäische Kommission)
• RFC 3161: Internet X.509 PKI Time-Stamp Protocol (TSP)